Un ataque sofisticado está dirigiéndose a sistemas Windows Server utilizando Prometei, una botnet vinculada a Rusia que ha estado activa desde 2016. Este malware multifuncional combina la minería de criptomonedas, el robo de credenciales y capacidades de control remoto para mantener acceso a largo plazo en sistemas comprometidos. La botnet Prometei se infiltra en los sistemas explotando credenciales débiles o predeterminadas a través del Protocolo de Escritorio Remoto (RDP). 

Un ataque sofisticado está apuntando a sistemas Windows Server utilizando Prometei, una botnet vinculada a Rusia que ha estado activa desde 2016.

Este malware multifuncional combina minería de criptomonedas, robo de credenciales y capacidades de control remoto para mantener acceso a largo plazo a sistemas comprometidos.

La botnet Prometei se infiltra en los sistemas explotando credenciales débiles o predeterminadas a través del Protocolo de Escritorio Remoto (RDP). Una vez que los atacantes obtienen acceso, ejecutan un comando de despliegue en dos etapas que combina el Símbolo del sistema y PowerShell.

El ataque requiere que el malware escriba un archivo de clave XOR (mshlpda32.dll) en el directorio de Windows, que luego utiliza para descifrar y ejecutar su carga principal.

El malware se despliega como un servicio de Windows llamado “UPlugPlay” y se copia a C:\Windows\sqhost.exe.

Crea excepciones en el Firewall de Windows y exclusiones en Microsoft Defender para garantizar un funcionamiento ininterrumpido y la comunicación con servidores de comando y control (C2).

Capacidades avanzadas y cifrado

Prometei demuestra capacidades técnicas sofisticadas a través de múltiples capas de cifrado.

El malware utiliza RC4, LZNT1 y RSA-1024 para las comunicaciones C2, lo que dificulta su detección y análisis.

Recopila información extensa del sistema, incluyendo nombres de equipos, especificaciones de hardware, software antivirus instalado y procesos en ejecución, utilizando herramientas legítimas de Windows como wmic.exe.

La botnet se comunica con servidores C2 tanto a través de la web clara como de la red TOR para mantener la privacidad.

Emplea un cifrado basado en clave XOR rodante para descifrar sus secciones de código y datos, donde cada byte utiliza una transformación única según su posición.

Prometei expande sus capacidades descargando módulos como netdefender.exe, que monitorea intentos fallidos de inicio de sesión y bloquea a otros atacantes mediante reglas de firewall.

Este comportamiento de “inquilino celoso” garantiza acceso exclusivo para los operadores de Prometei al evitar que otros actores de amenazas comprometan el mismo sistema.

Los módulos adicionales incluyen variantes de Mimikatz (miWalk32.exe y miWalk64.exe) para la recolección de credenciales, rdpcIip.exe para el movimiento lateral utilizando contraseñas predeterminadas, y windrlver.exe para la propagación basada en SSH.

El malware también incluye módulos proxy TOR (msdtc.exe y smcard.exe) para enrutar el tráfico de forma anónima.

Los investigadores de seguridad de esentire han desarrollado reglas YARA y utilidades en Python para detectar y analizar infecciones de Prometei.

Las organizaciones deberían implementar políticas de contraseñas robustas, autenticación multifactor para el acceso remoto, mecanismos de bloqueo de cuentas y monitorear los servicios RDP en busca de actividad sospechosa.

La arquitectura modular del malware permite una evolución continua, con módulos que se actualizan de forma independiente.

Las soluciones de Detección y Respuesta en Endpoints (EDR) son esenciales para identificar las complejas cadenas de procesos y modificaciones en el registro que caracterizan a las infecciones de Prometei.

El monitoreo de red debe centrarse en conexiones salientes inusuales hacia infraestructuras C2 conocidas y nodos de salida de TOR.